使用原生ORM的Django Rest API如何防范SQL Injection攻击，有哪些额外用户输入处理措施？

Django ORM默认通过参数化查询实现了绝大多数SQL注入防护，前提是你没有手动拼接SQL语句或者不安全地使用原生SQL方法，以下是额外需要补充的用户输入处理措施和相关工具：

一、额外的用户输入处理防护措施 #

• 所有用户输入必须经过DRF序列化器校验：禁止直接从request.data、request.query_params中提取未校验的参数进入业务逻辑，通过序列化器严格校验参数的类型、长度、值域范围，从根源上拦截异常输入。
• 原生SQL操作必须使用参数占位符：如果业务必须使用raw()、RawSQL、extra等原生SQL相关方法，绝对不能直接拼接用户输入到SQL字符串中，必须使用ORM提供的参数绑定机制传参，示例：User.objects.raw('SELECT * FROM auth_user WHERE id = %s', [user_input_id])。
• 动态字段操作加白名单校验：如果接口支持用户传入筛选字段、排序字段等动态参数，必须先校验传入的字段是否在预设的白名单范围内，禁止直接把用户传入的字段名作为filter()、order_by()等方法的参数，避免恶意字段名触发注入风险。
• 最小权限原则配置数据库账号：给Django使用的数据库账号只开放必要的业务权限，禁止赋予DROP、ALTER、TRUNCATE等高风险操作权限，即使出现注入漏洞也能极大降低危害范围。
• 输出内容做转义/清理：如果接口返回的用户生成内容会被前端直接渲染，需要提前对内容做转义或恶意代码清理，防范XSS风险。

二、相关安全工具库 #

• bleach：你提到的bleach完全可以直接在Django项目中使用，它专门用于清理HTML内容，过滤掉script标签、恶意事件属性等XSS风险代码，适合有富文本输入的场景，调用bleach.clean()方法即可自定义配置允许的标签、属性范围。
• django-bleach：是bleach的Django封装版本，提供了现成的模型字段、DRF序列化器字段，存入数据库前会自动完成内容清理，不需要手动编写处理逻辑。
• django-rest-framework-serializer-extensions：扩展了DRF序列化器的校验能力，提供更灵活的参数白名单、黑名单校验规则，简化复杂校验逻辑的代码编写。

内容的提问来源于stack exchange，提问作者yurasov